Günlüğü okuma ve olayları filtreleme

Ne zaman kullanılır

Kümede ne olduğunu anlamanız gerektiğinde: kimin ne zaman oturum açtığı, hangi oturum açma denemelerinin başarısız olduğu ve rollerde ve ayarlarda neyin değiştiği. Bu aynı zamanda bir olayı incelemenin başlangıç noktasıdır — önce olayları zamana ve kategoriye göre seçin, ardından tek bir kaydı ayrıntılı olarak inceleyin.

Aşağıda açıklanan her şey tek bir ekrandadır — Security Event Log. Bu ekran olay tablosunu, filtre panelini, tek kayıt kartını ve kritik olaylar için e-posta bildirimi ayarlarını içerir.

Bu yordam dosya dışa aktarımlarını veya karma zinciri doğrulamasını kapsamaz: bkz. Günlüğü dışa aktarma, arşiv indirme ve bütünlüğü doğrulama. Olay ve önem düzeyi modeli Güvenlik günlüğü sayfasında açıklanmıştır.

Ön koşullar

• küme düzeyinde genel bir rol — Cluster master veya Security Admin; olayları okumak için ViewSecurityLog, okundu olarak işaretlemek için AcknowledgeSecurityEvent, e-posta ayarlarını düzenlemek için ise EditSecurityNotifySettings (yalnızca Cluster master) gerekir;
• vStack Center sürümü — 3.0.3.

Gerekli yetkiye sahip olmadığınız düğmeler ve menü öğeleri görüntülenmez. Eksik bir düğme yetersiz izinler anlamına gelir.

Adımlar

Adım 1. Günlüğü açın

1. Sites → ilgili kümeyi açın.
2. Soldaki gezinme ağacında Security Event Log öğesini seçin. İçerik haritası yolu Sites → küme → Security Event Log şeklindedir.
3. Current events sekmesinde kalın — bunlar günlük tablosundaki olaylardır. Archived events sekmesi arşiv dosyalarını gösterir; bunlarla çalışma ayrı bir yordamda ele alınmıştır.

Adım 2. Tabloyu okuyun

Current events sekmesindeki tabloda ID, Created, Event type, Severity, Result, User, Category sütunları bulunur — kayıt kimliği, zaman, tür, önem düzeyi, sonuç, kullanıcı ve kategori. Tablonun üzerinde Search in table, altında ise sayfa boyutu seçicisiyle (10, 25 veya 50 kayıt) sayfalama yer alır.

Üç sütunu birlikte okuyun. Severity kritik olayları arka plan etkinliğinden ayırır, Failure değerine sahip Result başarısız eylemleri belirler, User ise "bu eylemi kim gerçekleştirdi?" sorusunu yanıtlar. En üst üç önem düzeyindeki okunmamış olayların satırları vurgulanır — bunları arama yapmadan göz atarken görebilirsiniz.

Search in table, görüntülenen sayfada kimlik, zaman, tür, önem düzeyi, kategori ve kullanıcıya göre arama yapar. Filtrelerin yerini tutmaz — yalnızca sayfayı değil günlüğün tamamını daraltmak için 3. adıma geçin.

Adım 3. Seçimi filtreler ve bir zaman aralığıyla daraltın

Aramanın sağındaki huni düğmesi filtre panelini açar. Panelde beş alan vardır:

Alan	Neyi seçersiniz
Category	olay alanı: authentication, virtual machines, configuration, role, system, integrity
Severity	önem düzeyi: emergency, alert, critical, error, warning, notice, info
Result	sonuç: Success veya Failure
Type	kümenin yönettiği listeden belirli bir olay türü
User	kümenin kullanıcı listesinden, eylemi gerçekleştiren kullanıcı

Panel arayüz etiketlerini gösterir, kayıt ve dışa aktarım ise aynı kategoriler için kısa kodlar kullanır: authentication için auth, virtual machines için vm, configuration için config; role, system ve integrity aynıdır. Kayıttaki sonuç success veya failure şeklindedir. Önem düzeyi etiketle eşleşir. Bu durum CSV ve JSON okurken önemlidir: dışa aktarımı panel etiketlerine göre değil kodlara göre filtreleyin.

Kategori, önem düzeyi ve sonuç alanlarının her biri tek bir seçili değere izin verir: seçili değere yeniden tıklamak filtreyi temizler. Tür ve kullanıcı listelerden seçilir; seçilen değer alanın altında görünür ve X ile kaldırılabilir. Reset beş filtrenin tümünü tek seferde temizler.

Zaman aralığı, tablonun üzerindeki Select date ile ayrı olarak ayarlanır. Bir dönem seçmek için takvim açar; seçilen dönem tabloyu panel filtreleriyle birlikte daraltır.

Liste her değişiklikten hemen sonra yenilenir; onay gerekmez. Tablonun altındaki sayaç, sayfada kaç kayıt olduğunu ve seçimin tamamında kaç kayıt bulunduğunu gösterir.

Adım 4. Tek bir kaydı ayrıntılı olarak açın

Additional Information kartını açmak için ID sütunundaki kayıt kimliğine tıklayın. Kart, tablo sütunlarında bulunmayan alanları içerir:

Kart alanı	Ne gösterir
Object name, Object type, Object ID	eylemin gerçekleştirildiği nesne; nesnesi olmayan bir olay için tire
Details	olay hakkında ek bilgiler
Remote IP	istemci adresi
Event UUID	olay UUID'si
Request ID	kaydı oluşturan küme isteğinin UUID'si
Record Hash	SHA-256 kayıt karması — zincirin bir halkası

İncelemeye Request ID ile devam edin. Bu kimlik olayı, onu oluşturan isteğe bağlar: bir eylem birden fazla kayıt ürettiyse bunlar aynı Request ID değerini paylaşır.

Adım 5. Kritik olaylarla ilgilenin

Okunmamış kritik olaylarınız olduğu sürece — en üst üç önem düzeyinde — başlıkta bunların sayısını gösteren critical event göstergesi görünür. Göstergeye tıklamak, günlüğü bu üç düzeye göre filtrelenmiş olarak açar.

Küme yeni bir kritik olayı açılır bildirimle bildirir: bildirime tıklamak en son kaydın kartını açar.

Gözden geçirdiğiniz olayları tablonun üzerindeki Mark all as read ile okundu olarak işaretleyin — bu, başlıktaki göstergeyi temizler ve satır vurgusunu kaldırır. Düğme yalnızca okunmamış kritik olaylar olduğunda görünür.

Okundu işareti kişiseldir. "Ekip bunu inceledi mi?" sorusunu değil, "geçerli kullanıcı bu olayı gözden geçirdi mi?" sorusunu yanıtlar: aynı olay başka bir yönetici için okunmamış olarak kalır.

Adım 6. Kritik olaylar için e-postaları yapılandırın

1. Tablonun üzerindeki Actions düğmesine tıklayın ve Notification settings öğesini seçin.
2. Enable email notifications anahtarını açın.
3. Recipients alanına bir alıcının adresini girin ve Enter tuşuna basın — adres alanın altındaki listede görünür. Birden fazla adresi bu şekilde ekleyin; istenmeyenleri X ile kaldırın.
4. Minimum severity for email alanında önem düzeyi eşiğini seçin. Eşiğin altındaki olaylar e-posta oluşturmaz.
5. Save düğmesine tıklayın.

Adres doğrulamadan geçemediği veya formda hiçbir şey değişmediği sürece Save devre dışı kalır. Kaydettikten sonra "Notification settings updated" iletisi görünür.

E-posta ayarlarını yalnızca Cluster master rolü düzenleyebilir. Security Admin ayarları görüntüleyebilir ancak kaydedemez.

E-postaların kendisi, vStack Center dağıtıcısı tarafından adresi bu formda değil yönetim VM'sinde ayarlanan bir SMTP sunucusu üzerinden gönderilir. Sunucu ayarlanana kadar, ayarlar hatasız kaydedilse bile hiçbir e-posta gönderilmez. Varsayılan eşik alert düzeyidir: bu eşikle e-postalar yalnızca bütünlük ihlalleri için gelir. Sunucu kurulumu, eşik seçimi ve teslim denetimi Güvenlik günlüğü e-posta bildirimleri nasıl ayarlanır sayfasında ele alınmıştır.

Sonucu doğrulayın

Aynı olay için tabloyu ve kartı karşılaştırın. ID sütunundan bir kimlik alın, kartı açın ve aynı olayı gösterdiğini doğrulayın: Event UUID ve Record Hash doludur ve bir eylemden gelen tüm kayıtların bir Request ID değeri vardır.

Filtreyi kontrol edin: Category — authentication ve Result — Failure seçin; tabloda yalnızca başarısız oturum açma denemeleri kalmalıdır. Reset tam listeyi geri getirmelidir.

Okundu işaretini kontrol edin: Mark all as read sonrasında critical event göstergesi başlıktan kaybolur, satır vurgusu kaldırılır ve düğmenin kendisi bir sonraki kritik olaya kadar kaybolur.

Sorun giderme

Kayıt kartı açılmıyor, olay bulunamadı (-11202). Bu kimliğe sahip bir kayıt artık günlük tablosunda değildir — otomatik arşivleme onu bir arşive taşımıştır. Geçici çözüm — olayı Archived events sekmesindeki arşiv dosyalarında arayın.

Liste yüklenmedi, veritabanı hatası (-24000). Küme günlüğü okuyamadı. Hiçbir veri kaybolmaz: sayfayı yenileyin; hata devam ederse vStack Center veritabanının durumunu kontrol edin.

Seçimde rahatça göz atılamayacak kadar çok kayıt var. Seçimi sayfa boyutuyla değil, filtreler ve bir zaman aralığıyla daraltın: Search in table yalnızca görüntülenen sayfada çalışır ve tam resmi sunmaz.

E-posta ayarları kaydedilmiyor (-24007). Bir değer doğrulamadan geçemedi: alıcı adresi yanlış girildi veya Enter tuşuna basılmadığı için adres listeye eklenmedi. Alanın altındaki listedeki adresleri kontrol edin ve yeniden kaydetmeyi deneyin — kaydetme başarısız olduğunda daha önce kaydedilmiş ayarlar değişmez.

Actions menüsünde Notification settings öğesi yok. Rolde e-posta ayarları için yetki yoktur. Bunları yalnızca Cluster master düzenleyebilir.

Olaylar okundu olarak işaretlendikten sonra kritik olay göstergesi kalıyor. Okundu işareti kişiseldir ve gösterge geçerli kullanıcının okunmamış olaylarını sayar. Olayları, günlüğü görüntülemek için kullandığınız aynı kullanıcı hesabıyla işaretlediğinizi kontrol edin.

API yöntemleri

Bu sayfada ele alınan API işlemleri: security-event-list, security-event-get, security-event-types, security-event-critical-count, security-event-acknowledge, security-event-notify-settings-get, security-event-notify-settings-set — bkz. API başvurusu.

Ayrıca bkz.

• Güvenlik günlüğü — kayıt alanları, önem düzeyleri ve karma zinciri.
• Günlüğü dışa aktarma, arşiv indirme ve bütünlüğü doğrulama — dışa aktarma dosyaları, arşivler ve zincir doğrulaması.
• Güvenlik günlüğü e-posta bildirimleri nasıl ayarlanır — SMTP sunucusu, eşik, e-posta içeriği ve teslim denetimi.
• Roller ve yetkiler — günlük yetkileri ve kapsamları.